漏洞标题
October CMS 安全模式绕过使用页面模板注入
漏洞描述信息
October 是一个用于协助开发工作流程的 Content Management System(CMS) 和 Web 平台。一个经过授权的后端用户，拥有 `editor.cms_pages`, `editor.cms_layouts`, 或 `editor.cms_partials` 权限，但由于 `cms.safe_mode` 被启用， normally 不允许提供 CMS 执行的 PHP 代码，该用户可以编写一种特殊的请求，将 PHP 代码包含在 CMS 模板中。此问题已在版本 3.4.15 中进行修复。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
漏洞类别
对生成代码的控制不恰当(代码注入)
漏洞标题
October CMS safe mode bypass using Page template injection
漏洞描述信息
October is a Content Management System (CMS) and web platform to assist with development workflow. An authenticated backend user with the `editor.cms_pages`, `editor.cms_layouts`, or `editor.cms_partials` permissions who would normally not be permitted to provide PHP code to be executed by the CMS due to `cms.safe_mode` being enabled can craft a special request to include PHP code in the CMS template. This issue has been patched in version 3.4.15.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
漏洞类别
对生成代码的控制不恰当(代码注入)
漏洞标题
October 代码注入漏洞
漏洞描述信息
October是October开源的一个内容管理系统 (CMS) 和网络平台。 October 存在代码注入漏洞，该漏洞源于在启用了“cms.safe_mode”的情况下，具有“editor.cms_pages”、“editor.cms_layouts”或“editor.cms_partials”权限的人可以制定特殊请求以在 CMS 模板中包含 PHP 代码。
CVSS信息
N/A
漏洞类别
代码注入